4. 资产识别与分类：工业IoT资产清单、资产价值评估、关键资产识别

好，咱们进入第四讲。前面三讲我们把IEC 62443的框架、角色模型和风险管理逻辑捋了一遍。从这章开始，要动真格的了——你得先搞清楚，你到底在保护什么。

很多团队一上来就问我：“王工，我们该买什么防火墙？上什么入侵检测？” 我通常会反问一句：“你先把你的资产清单给我看看。” 结果呢？十有八九拿不出来。连自己家里有什么东西都不清楚，你怎么做安全？

资产识别与分类，是整个工控安全合规的基石。这块做不好，后面所有的风险评估、安全分级、控制措施，全是空中楼阁。我个人习惯，在项目启动的第一周，至少花30%的精力在资产梳理上。

4.1 工业IoT资产清单：你到底有哪些家底？

工业IoT环境跟传统IT不一样。IT资产主要是服务器、PC、网络设备，相对好管。工业环境呢？PLC、RTU、DCS控制器、HMI、工业交换机、传感器、执行器、变频器、SCADA服务器…… 种类多，协议杂，生命周期还特别长。一台PLC用个十年八年是常事。

我见过一个化工厂，他们的资产清单还是五年前的Excel表格，很多设备早就换了型号，甚至有些工位都改了工艺。你说这安全怎么搞？

所以，第一步，你得把家底摸清楚。资产清单应该包含哪些字段？我列一个我常用的模板：

字段	说明	示例
资产ID	唯一标识，建议用编码规则	PL-2024-001
资产名称	设备型号或功能描述	西门子S7-1500 CPU 1516-3 PN/DP
资产类型	PLC、HMI、服务器、网络设备等	PLC
物理位置	车间、机柜、线槽编号	3号车间 / 机柜A-12
IP地址	管理IP或工业协议IP	192.168.10.50
固件/软件版本	当前运行版本	V2.9.1
所属系统	关联的生产线或工艺单元	反应釜控制系统
责任人	维护工程师或团队	张工 / 仪表车间
通信协议	使用的工业协议	Profinet, Profibus
备注	特殊配置或已知问题	需定期备份DB块

嗯，这里要注意。资产清单不是一次性工作。你得建立更新机制。我建议至少每季度复核一次，或者在每次变更后立即更新。别等到审计来了才临时抱佛脚。

4.2 资产价值评估：这东西值多少钱？

清单有了，接下来要评估价值。注意，这里的“价值”不光是采购价格。更重要的是，这个资产如果出问题，对生产、安全、环境、声誉会造成多大影响。

IEC 62443-3-2里讲得很清楚，资产价值评估是风险评估的前置条件。你想想看，一个控制反应釜温度的PLC，和一个监控车间照明的PLC，价值能一样吗？前者坏了可能爆炸，后者坏了最多摸黑干活。

我个人习惯用三个维度来评估：

• 业务影响： 该资产停机或失效，对产量的影响有多大？是全线停产还是局部降级？
• 安全影响： 该资产被攻击或误操作，是否会导致人员伤亡、环境泄漏或设备损坏？
• 恢复成本： 该资产损坏后，修复或替换需要多少时间、金钱和技术资源？

每个维度可以打分，比如1-5分。然后综合得出资产价值等级。我做过一个项目，客户把一台老旧PLC的恢复成本打成了1分，因为仓库里有备件。结果后来发现，那台PLC里跑着定制的控制逻辑，备件是有的，但程序没人会写。最后恢复成本变成了5分。所以，评估要实事求是，别想当然。

4.3 关键资产识别：谁是命根子？

价值评估做完，关键资产自然就浮出水面了。关键资产就是那些价值等级最高的设备或系统。它们是安全防护的重中之重。

怎么识别？我一般用“如果……就……”的逻辑来推演：

• 如果这个PLC被恶意篡改，会不会导致反应釜超温超压？ → 是 → 关键资产
• 如果这个HMI被植入勒索软件，操作员是否无法监控工艺？ → 是 → 关键资产
• 如果这个工业交换机被攻击，是否会导致整个控制网络瘫痪？ → 是 → 关键资产

说白了，关键资产就是那些“一坏就出大事”的资产。它们通常位于生产控制的核心环节，或者承担着安全联锁功能。

下面这张图，是我常用的一种资产分类与关键资产识别流程，你可以参考一下：

你看，这个流程是环环相扣的。没有准确的清单，价值评估就是拍脑袋；价值评估不准，关键资产就找不对；关键资产找不对，安全防护就是瞎忙活。

在实际项目中，我还会把关键资产进一步细分为“安全关键资产”和“业务关键资产”。安全关键资产是指那些失效会直接导致人员伤亡或环境事故的，比如紧急停车系统（ESD）、安全仪表系统（SIS）。业务关键资产是指那些失效会导致重大经济损失的，比如核心生产线的控制器。这两类资产，防护策略侧重点不同，但都需要最高级别的保护。